Mehr Möglichkeiten dank eIDAS 2.0 Neue Vertrauensdienste auf EU-Ebene

Anbieter zum Thema

IDnow GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Die neue EU-Verordnung 2024/1183 eIDAS 2.0 für Vertrauensdiensteanbieter bietet ein ungeheures transformatives Potential für die Digitalbranche: Dank der eIDAS 2.0-Verordnung wird eine Reihe neuer Dienste eingeführt, beispielsweise Archivierungsdienste, Dienste zur Bestätigung von Attributen sowie DLT-Dienste wie das E-Journal. Dieser Artikel beleuchtet die neuen Dienste und die angestrebte Harmonisierung auf EU-Ebene.

Viel wurde in den letzten Jahren über die EU-Verordnung 2024/1183 eIDAS 2.0 geschrieben und diskutiert. Meist ging es bei diesen Diskussionen um die sogenannten EUDI-Wallets (European Digital Identity). Dabei handelt es sich um die digitalen Brieftaschen auf EU-Ebene, die es Bürgerinnen und Bürgern künftig erlauben sollen, sich schnell, reibungslos und mit minimalen Datenaufwand für digitale Dienste – sowohl öffentlicher als auch privater Natur – zu identifizieren. Dabei wird die digitale Identität der Bürger auf ihrem Smartphone gesichert und eignet sich so zur Wiederverwendung für verschiedene Anwendungsfälle. Dieser revolutionäre Eingriff in die Art und Weise, wie sich Privatpersonen in Zukunft im digitalen Raum identifizieren können, hat die öffentliche Debatte verständlicherweise bestimmt. Oft wurde vergessen oder zur Seite geschoben, dass ein anderer Teil des digitalen Raums dank eIDAS 2.0 ebenfalls eine große Veränderung erfahren wird: die Vertrauensdiensteanbieter (engl. Trust Service Providers, TSPs).

Digitale Identitäten

Bundesregierung plant staatliche EUDI-Wallet

Neue Arten von Vertrauensdiensten

Der Bereich der Vertrauensdienste gilt in allen 27 Mitgliedsstaaten der EU und des EWR seit dem 01. Juli 2016, er wird dank eIDAS 2.0 nun aber erweitert und harmonisiert. Vertrauensdiensteanbieter sind Anbieter, die verschiedene Vertrauensdienste (z. B. elektronische Signaturen, Siegel oder Zeitstempel) bereitstellen, um eine vertrauenswürdige Kommunikation für sichere elektronische Transaktionen im digitalen Raum zu ermöglichen. Mit der Erneuerung der eIDAS-Verordnung kommen nun neue Arten von Vertrauensdiensten hinzu:

• Einführung von DLT-Diensten (Distributed Ledger Technology), wie das „E-Journal“

• (Qualifizierte) Archivierungsdienste, die über Signaturen oder signierte Dokumente hinausgehen

• Qualifizierte Dienste zur Bestätigung von Attributen (QEAA) (z. B. Merkmal, Recht, Erlaubnis und Qualität), die ein großes Innovationspotential versprechen

• Öffentliche Stellen, die für die Authentizität der Quellen verantwortlich sind und selbst elektronische Zertifikate für Attribute ausstellen (PubEAA) wobei diese auch durch QEAA ersetzt werden können

Diese neuen Dienste werden aller Voraussicht nach zu einem höheren Reifegrad des Marktes führen. Darüber hinaus soll die Interoperabilität und Anpassung an die EUDI-Wallet verbessert werden, was die Integration von Vertrauensdiensten in die Wallet einfacher macht.

Signed in Europe

Wie sicher sind digitale Signaturen?

Großes Innovationspotential für Attributsbestätigungen

In Bezug auf die Integration stehen aktuell vor allem die Attribute im Fokus der Expertendiskussionen: Attribute wie (1) Adresse, (2) Alter, (3) Geschlecht, (4) Personenstand, (5) Familienzusammensetzung, (6) Staatsangehörigkeit oder Staatsbürgerschaft, (7) Bildungsabschlüsse, Titel und Erlaubnisse, (8) Berufsqualifikationen, Titel und Berechtigungen, (9) Vollmachten und Mandate, eine natürliche oder juristische Person zu vertreten, (10) behördliche Genehmigungen und Lizenzen, (11) für juristische Personen Finanzdaten und Unternehmensdaten, müssen jetzt festgesetzt werden – sowohl technologisch als auch rechtlich. Ein Warten auf die Wallet-Infrastruktur würde zum Henne-Ei-Problem führen: Die EUDI-Wallet wird u. a. für Attribute entwickelt, es gibt diese aber noch gar nicht. Es ist in gewisser Weise so, als würden wir einen Geldbeutel mit Kreditkartenfächern erfinden, ohne zu wissen, wie die Kreditkarten aussehen oder funktionieren. Die TSP-Branche ist sich deshalb weitestgehend einig, dass die Anwendungsfälle der Attributsbestätigung (engl. Qualified Electronic Attestations of Attributes, QEAA) schon gegeben sein müssen, bevor die EUDI-Wallet Ende 2026 kommt.

Dieser Anspruch der Vertrauensdienste birgt allerdings auch einige Herausforderungen. Erstens muss eine digitale Anbindung an staatliche Register geschaffen werden oder eigene Schemata durch den Vertrauensdienst erstellt werden, um Attribute wie (1) bis (6) bestätigen zu können. Zweitens bedarf es Attributprofile zur Interoperabilität und einer Definition von Schnittstellen zum grenzüberschreitenden Datenaustausch innerhalb der EU. Und nicht zuletzt birgt die Registermodernisierung zwar enormes Potential zur Vereinfachung und Beschleunigung von sämtlichen digitalen Prozessen, erfordert aber vor allem in Deutschland erhebliche Anstrengungen beim Ausbau der digitalen Infrastruktur. Daher ist es umso wichtiger, dass Vertrauensdienste Schemata entwickeln, die schon jetzt Attribute qualifiziert bestätigen können, die vom Staat kurz- und mittelfristig realistisch nicht zu Verfügung gestellt werden können.

Archivierungsdienste: ein vertrauenswürdiger Anker, der in Europa liegt

Neben (qualifizierten) Attributen versprechen erweiterte Archivierungsdienste ein höheres Vertrauensniveau für digitale Transaktionen. Bisher können signierte Dokumente oder digitale Signaturen auf einem qualifizierten Niveau langzeitarchiviert werden. Künftig soll dies auch für andere Dateiformate möglich sein (z. B. Bestätigung der AGBs, audio-visuelle Bestandteile der Identitätsverifizierung und der Personendaten zur Beweiserhaltung medizinische Unterlagen, etc.). Die europäischen Vertrauensdienste bieten damit ein DSGVO-konformes Verfahren. Der vertrauenswürdige Anker für eine digitale Transaktion bleibt in europäischer Verantwortung und liegt nicht - wie bisher in der operativen Umsetzung oft der Fall - bei US-amerikanischen Providern und in deren Cloudstrukturen.

Dies wird vor allem für Banken, Versicherungen und Telekommunikationsanbieter künftig ein wichtiger Bestandteil der Beweisführung sein, um zu zeigen, dass eine bestimmte Datei bzw. Daten innerhalb einer Datei nicht nachträglich geändert wurden. In Hinblick auf die Verschärfung der Compliance-Richtlinien und Sorgfaltspflichten der BaFin ist dies besonders für Banken und Finanzinstitute interessant. Diese müssen zum Teil zweifelsfrei belegen, dass die Daten X zum Zeitpunkt Y erhoben wurden und – auch nach Hackerangriffen oder Korruption des Systems – Gültigkeit bewahren. Der Finanzmarkt verlangt bereits heute nach diesen Systemen, in dem sich vor allem die Kombination aus einem qualifizierten TSP und einem traditionellen Identitätsverifizierungsanbieter hervortun wird.

Nicht zuletzt werden DLT-Dienste, wie das qualifizierte E-Journal eingeführt, das ähnlich wie eine Kryptotechnologie benutzt wird. Hiermit können Verläufe innerhalb einer Datei über lange Zeit sicher und unveränderlich dargestellt werden, wie z. B. der Benotungsprozess einer Universität oder die Lieferkettendokumentation von Pharmaunternehmen. Darüber hinaus soll auch die E-Delivery kommen, die europaweit einheitlich die Übergabe zwischen verschiedenen Transaktionsparteien erleichtern soll. Das Prinzip ist ähnlich einer qualifizierten De-Mail, die nachweisbare und vertrauliche elektronische Kommunikation ermöglichen soll. Der Unterschied zur existierenden deutschen Lösung liegt demnach in der europaweiten Einheitlichkeit und in einem hoffentlich höheren Akzeptanzgrad der Bevölkerung.

Höhere Sicherheit, höhere Produktivität

5 Vorteile elektronischer Signaturen für Unternehmen

Verbindliche Standards & Richtlinien für Vertrauensdienste

Nicht nur neue Vertrauensdienste sollen dank eIDAS 2.0 möglich werden, auch Harmonisierung über Ländergrenzen hinweg sowie die Resilienz der Anbieter stehen im Fokus. So sollen qualifizierte TSPs beispielsweise einheitliche Vorgaben aus dem Bereich Cybersecurity anwenden, konkret die NIS-2-Richtlinie. Die Herausforderung dieser EU-Richtlinie liegt wie häufig im nationalen Umsetzungsgesetz. In Deutschland wurde dies – trotz schon 2024 abgelaufener Deadline – noch nicht beschlossen oder gar umgesetzt. Nationale Abweichungen können für TSPs belastend sein und einer EU-weiten Wettbewerbsgleichheit gegenüberstehen. Bundesnetzagentur und Bundesamt für Sicherheit in der Informationstechnik (BSI) haben deshalb den Wunsch geäußert, ein möglichst einheitliches Normengerüst zu entwickeln, mit vereinheitlichten Audits und Zulassungsverfahren und harmonisierter Arbeit der Aufsichts- und Prüfstellen.

Hierzu sollen auch die Durchführungsrechtsakte (engl. Implementing Acts) der eIDAS 2.0-Verordnung beitragen. Diese verweisen an vielen Stellen auf bestehende oder neue ETSI-Standards, die beispielsweise für die Konformitätsbewertung von TSPs verbindlich sind. Ein wichtiger Schritt, denn die Nutzung der TSPs erfolgt in vielen relevanten Sektoren (Banking, Telekommunikation, Gesundheit, und Verwaltung). Qualifizierte TSPs werden das Rückgrat von allen eIDAS 2.0-Services darstellen und ein immanenter Teil des Wallet-Ökosystems sein. Bestehende Services, wie digitale Siegel und Signaturen, funktionieren seit Jahren und werden weiterhin ein steiles Wachstum erleben. Es wird erwartet, dass der Markt für digitale Signaturen von 7,61 Mrd. USD im Jahr 2024 auf 118,88 Mrd. USD im Jahr 2032 anwachsen wird. Die EU arbeitet an Übergangsregelungen mit dem Ziel, Störungen für bestehende Anbieter und zertifizierte Produkte zu minimieren. Die Abschaffung nationaler Besonderheiten, insbesondere im Bereich der Identifizierung, ist ein wichtiger Meilenstein, die Fertigstellung der Durchführungsrechtsakte bis Mai 2025 eine wichtige Frist hierfür.

Ausblick

Das erste Paket der Durchführungsrechtsakte aus dem Herbst 2024 hat schon bewiesen, dass die Umsetzung und die Zeitachse enorm große Herausforderungen im Wallet-Ökosystem sind. Das gilt sowohl in Hinblick auf die technische Umsetzung, die Regulatorik, und die Standardisierung als auch die gesetzten Deadlines, die im Prinzip jetzt schon nicht mehr erreichbar sind. Die Wallets sollen die EUDI und die Vertrauensdienste künftig verbinden, digitale Signaturen vereinfachen, und die Wahrnehmung der TSPs beleben. Doch es steht bereits 2029 die nächste eIDAS-Revision an, bei der Standards und Architektur der Wallets nochmal genau unter die Lupe genommen werden. Umso wichtiger nun, dass die TSPs in sich geschlossen bereits funktionieren und somit eine Vorreiterrolle im eIDAS 2.0-System einnehmen.

Über den Autor: Johannes Leser ist Vice President Trust Services bei IDnow, seit 2024 außerdem CEO der IDnow Trust Services AB und mit der Leitung des neuen QTSP beauftragt. Seit mehr als 16 Jahren beschäftigt er sich mit der vertrauenswürdigen Integration elektronischer Signaturen in digitale Prozesse, Digitalisierung, Identifikationsdienstleistungen und anderen Vertrauensdiensten.

(ID:50480182)